Docker Compose

运行要求与其他平台见 部署概览。宝塔 / aaPanel 与 deploy.sh 见 baota.md。

编排服务复制链接

compose.yml 的项目名为 edgeweir：卷名 edgeweir_postgres-data，网络名 edgeweir_default。

镜像公开，拉取无需登录。tag 规则见 版本、升级与回滚。

1. 准备复制链接

1. 准备 Linux 服务器（amd64 或 arm64），安装 Docker Engine 与 Docker Compose v2：

   复制

   docker compose version

2. 在云安全组放行 8443/TCP。Docker 发布的端口不经过 ufw、firewalld 等主机防火墙，需要按来源限制时用云安全组或 DOCKER-USER 链。Docker Engine 28 之前，同一二层网络的主机能访问发布到 127.0.0.1 的端口：使用 28 或更新的版本。3000/TCP 的暴露方式见 端口与反向代理。

2. 获取文件复制链接

服务器只需要 compose.yml 与 .env。

mkdir -p /opt/edgeweir && cd /opt/edgeweir
curl -fsSLO https://raw.githubusercontent.com/marvinli001/edgeweir/master/compose.yml
umask 077
curl -fsSL -o .env https://raw.githubusercontent.com/marvinli001/edgeweir/master/.env.example

3. 生成密钥复制链接

sed -i "s|^EDGEWEIR_MASTER_KEY=.*|EDGEWEIR_MASTER_KEY=$(openssl rand -base64 32)|" .env
sed -i "s|^POSTGRES_PASSWORD=.*|POSTGRES_PASSWORD=$(openssl rand -hex 24)|" .env

主密钥文件复制链接

主密钥也可以不写进 .env：放进文件，经 Compose secret 挂载，.env 中的 EDGEWEIR_MASTER_KEY 留空。

umask 077
openssl rand -base64 32 > master.key
chown 1000 master.key   # 镜像以 node 用户（uid 1000）运行
sed -i "s|^EDGEWEIR_MASTER_KEY=.*|EDGEWEIR_MASTER_KEY=|" .env

与 compose.yml 同目录的 compose.override.yml（Compose 自动合并）：

services:
  console:
    environment:
      EDGEWEIR_MASTER_KEY_FILE: /run/secrets/edgeweir_master_key
    secrets:
      - edgeweir_master_key
secrets:
  edgeweir_master_key:
    file: ./master.key

文件末尾的换行被忽略；同时设置非空的 EDGEWEIR_MASTER_KEY，或文件为空、不可读时，控制台拒绝启动。

其他机密文件复制链接

以下变量同样可以从文件读取：设置 <变量>_FILE，按上例挂载文件，.env 中不设置该变量。规则与主密钥文件相同。

轮换主密钥复制链接

更换主密钥（例如怀疑泄露），已加密的数据改用新主密钥：

1. .env 中把原值移到 EDGEWEIR_MASTER_KEY_PREVIOUS，EDGEWEIR_MASTER_KEY 设为 openssl rand -base64 32 的输出。用文件时对应 EDGEWEIR_MASTER_KEY_PREVIOUS_FILE 与 EDGEWEIR_MASTER_KEY_FILE。

2. docker compose up -d。

3. 等待日志 no envelope uses EDGEWEIR_MASTER_KEY_PREVIOUS any more：

   复制

   docker compose logs console | grep EDGEWEIR_MASTER_KEY_PREVIOUS

   日志为 envelopes still use EDGEWEIR_MASTER_KEY_PREVIOUS: keep it set 时保留旧主密钥，按 cannot re-seal 日志排查。

4. 删除 EDGEWEIR_MASTER_KEY_PREVIOUS，再执行 docker compose up -d。

4. 配置 .env复制链接

设置控制台地址：

sed -i "s|^EDGEWEIR_PUBLIC_URL=.*|EDGEWEIR_PUBLIC_URL=https://cdn-admin.example.com|" .env

必填变量：

常用可选变量（在 .env 中取消注释后填写）：

全部变量见 环境变量。

初始化之后，节点发布源与源站地址允许清单在 系统设置 配置，GeoIP 在 防护设置，SMTP 在 告警 页配置，保存即生效，无需重启。控制台中保存的值优先于 .env 中的 EDGEWEIR_SMTP_CA_FILE、EDGEWEIR_NODE_RELEASE_BASE_URL，两者都没有时使用默认值。EDGEWEIR_OUTBOUND_ALLOW_CIDRS 约束控制台中保存的出站地址，网页控制台不能放宽。

5. 启动复制链接

docker compose pull
docker compose up -d
docker compose logs -f console

启动顺序：

6. 初始化复制链接

1. 读取 setup token：

   复制

   docker compose logs console | grep setupToken

   未初始化的控制台每次启动输出同一个 token，直到使用。token 经主密钥加密存于数据库；主密钥更换后重新生成。

2. 打开 <EDGEWEIR_PUBLIC_URL>/setup，填入 setup token 与姓名、邮箱、密码，创建控制台账户。控制台同时创建默认集群 default。初始化向导见 快速上手。

无 token 或 token 错误的初始化请求被拒绝，并写入审计日志。token 在初始化成功后失效。

7. 验证复制链接

curl -s http://127.0.0.1:3000/healthz
docker compose ps

预期：{"status":"ok","version":"<镜像 tag>"}；console 状态为 healthy。

可选组件复制链接

COMPOSE_PROFILES=analytics
EDGEWEIR_ANALYTICS=clickhouse
CLICKHOUSE_PASSWORD=<密码>

docker compose up -d

Compose 从 .env 读取 COMPOSE_PROFILES，此后每条 docker compose 命令（up、pull、logs、down）都包含 ClickHouse，无需加 --profile analytics。

控制台图表与告警使用 PostgreSQL 汇总数据。访问日志采样默认关闭，在网站的日志页面开启；原始日志保留 7 天。切换存储模式不迁移历史数据。详见 访问日志与 AccessKey。

从源码构建复制链接

git clone https://github.com/marvinli001/edgeweir.git /opt/edgeweir
cd /opt/edgeweir
docker compose up -d --build

其余步骤相同。本地构建的镜像占用同名 tag，版本显示为 dev；改回发布镜像前执行 docker compose pull。

不用 Compose：单独的容器复制链接

compose.yml 等价于专用网络上的两个容器。已有 PostgreSQL 18 时省略 edgeweir-postgres，将 DATABASE_URL 指向该数据库。

cd /opt/edgeweir
umask 077
POSTGRES_PASSWORD=$(openssl rand -hex 24)
cat > console.env <<ENV
DATABASE_URL=postgres://edgeweir:${POSTGRES_PASSWORD}@edgeweir-postgres:5432/edgeweir
EDGEWEIR_MASTER_KEY=$(openssl rand -base64 32)
EDGEWEIR_PUBLIC_URL=https://cdn-admin.example.com
EDGEWEIR_NODE_API_URL=https://cdn-admin.example.com:8443
ENV

docker network create edgeweir
docker run -d --name edgeweir-postgres --network edgeweir --restart unless-stopped \
  -e POSTGRES_USER=edgeweir -e POSTGRES_DB=edgeweir -e POSTGRES_PASSWORD="$POSTGRES_PASSWORD" \
  -v edgeweir-postgres:/var/lib/postgresql \
  postgres:18.6-alpine@sha256:77f585114c32fbca283dc835b0596f4e52b51b4c6662d7810b2f4084f60a1873
docker run -d --name edgeweir-console --network edgeweir --restart unless-stopped \
  --env-file console.env -e ROLE=all \
  -p 127.0.0.1:3000:3000 -p 8443:8443 \
  --read-only --tmpfs /tmp --security-opt no-new-privileges:true \
  ghcr.io/marvinli001/edgeweir:20260929-a1b2c3d

升级单独的容器见 升级。

排障复制链接